了得網計算機/網絡_開發者的Web安全戒律：真實威脅與防御實踐

內容簡介

本書介紹了成為高效Web開發人員所需掌握的基本安全知識，並將教你為何你的網站容易受到攻擊以及如何保護它們。每一章都分解了一個主要的安全漏洞，並探討了一個真實的攻擊，結合大量的代碼，向你展示漏洞和修復方法。

譯者序
前言
關於作者
關於技術審校
致謝
第1章讓我們了解黑客如何入侵一個網站 1
1.1軟件漏洞和暗網 1
1.2黑客如何攻擊網站 2
第2章互聯網的工作原理 5
2.1互聯網協議套件 5
2.1.1IP地址 6
2.1.2域名繫統 6
2.2應用層協議 7
2.3狀態連接 11譯者序
前言
關於作者
關於技術審校
致謝
第1章讓我們了解黑客如何入侵一個網站 1
1.1軟件漏洞和暗網 1
1.2黑客如何攻擊網站 2
第2章互聯網的工作原理 5
2.1互聯網協議套件 5
2.1.1IP地址 6
2.1.2域名繫統 6
2.2應用層協議 7
2.3狀態連接 11
2.4加密 12
2.5小結 12
第3章瀏覽器的工作原理 13
3.1頁面呈現 13
3.1.1渲染管道：概述 14
3.1.2文檔對像模型 14
3.1.3樣式信息 15
3.2JavaScript 16
3.3渲染前後：瀏覽器執行的所有其他操作 18
3.4小結 18
第4章Web服務器的工作方式 20
4.1靜態資源 20
4.1.1URL解析 21
4.1.2內容交付網絡 22
4.1.3內容管理繫統 22
4.2動態資源 24
4.2.1模板 24
4.2.2數據庫 25
4.2.3分布式緩存 27
4.2.4Web編程語言 28
4.3小結 32
第5章程序員的工作方式 33
5.1階段1：設計與分析 34
5.2階段2：編寫代碼 34
5.2.1分布式版本控制與集中式版本控制 35
5.2.2分支和合並代碼 35
5.3階段3：發布前測試 36
5.3.1覆蓋範圍和持續集成 37
5.3.2測試環境 37
5.4階段4：發布過程 38
5.4.1發布期間標準化部署的選項 39
5.4.2編譯過程 41
5.4.3數據庫遷移腳本 41
5.5階段5：發布後的測試和觀察 42
5.5.1滲透測試 42
5.5.2監控、日志記錄和錯誤報告 42
5.6依賴管理 43
5.7小結 44
第6章注入攻擊 45
6.1SQL注入 46
6.1.1什麼是SQL 46
6.1.2SQL注入攻擊剖析 47
6.1.3緩解措施1：使用參數化語句 49
6.1.4緩解措施2：使用對像關繫映射 50
6.1.5額外緩解：使用縱深防御 51
6.2命令注入 52
6.2.1命令注入攻擊剖析 53
6.2.2緩解措施：轉義控制字符 54
6.3遠程代碼執行 55
6.3.1遠程代碼執行剖析 56
6.3.2緩解措施：在反序列化期間禁用代碼執行 56
6.4文件上傳漏洞 57
6.4.1文件上傳攻擊剖析 57
6.4.2緩解措施 59
6.5小結 60
第7章跨站點腳本攻擊 62
7.1存儲型跨站點腳本攻擊 62
7.1.1緩解措施1：轉義HTML字符 64
7.1.2緩解措施2：實施內容安全策略 66
7.2反射型跨站點腳本攻擊 67
7.3基於DOM的跨站點腳本攻擊 69
7.4小結 71
第8章跨站點請求偽造攻擊 72
8.1CSRF攻擊剖析 72
8.2緩解措施1：遵循REST原則 73
8.3緩解措施2：使用anti-CSRF cookie 74
8.4緩解措施3：使用SameSite cookie屬性 75
8.5額外的緩解措施：敏感動作需要重新驗證 76
8.6小結 77
第9章破壞身份認證 78
9.1實施身份認證 78
9.1.1HTTP本地身份認證 79
9.1.2非本地認證 80
9.1.3暴力破解攻擊 80
9.2緩解措施1：使用第三方身份認證 81
9.3緩解措施2：與單點登錄集成 81
9.4緩解措施3：保護自己的身份認證繫統 82
9.4.1需要用戶名、電子郵件地址或兩個都要 82
9.4.2要求復雜密碼 85
9.4.3安全地存儲密碼 85
9.4.4多因素身份認證 87
9.4.5實現並保護注銷功能 88
9.4.6防止用戶枚舉 88
9.5小結 89
第10章會話劫持 91
10.1會話的工作方式 91
10.1.1服務器端會話 92
10.1.2客戶端會話 93
10.2攻擊者如何劫持會話 95
10.2.1cookie竊取 95
10.2.2會話確定 97
10.2.3利用弱會話ID 98
10.3小結 99
第11章權限 100
11.1提權 100
11.2訪問控制 101
11.2.1設計授權模型 101
11.2.2實施訪問控制 103
11.2.3測試訪問控制 104
11.2.4添加審計記錄 105
11.2.5避免常見的疏忽 105
11.3目錄遍歷 105
11.3.1文件路徑和相對文件路徑 106
11.3.2目錄遍歷攻擊剖析 106
11.3.3緩解措施1：信任你的Web服務器 107
11.3.4緩解措施2：使用托管服務 108
11.3.5緩解措施3：使用間接文件引用 108
11.3.6緩解措施4：淨化文件引用 108
11.4小結 109
第12章信息洩露 111
12.1緩解措施1：禁用Telltale Server標頭 111
12.2緩解措施2：使用干淨的URL 111
12.3緩解措施3：使用通用cookie參數 112
12.4緩解措施4：禁用客戶端錯誤報告 112
12.5緩解措施5：縮小或模糊處理JavaScript文件 113
12.6緩解措施6：清理客戶端文件 113
12.7始終關注安全公告 114
12.8小結 114
第13章加密 115
13.1Internet協議中的加密 115
13.1.1加密算法、哈希和消息身份認證代碼 116
13.1.2TLS握手 118
13.2啟用HTTPS 120
13.2.1數字證書 120
13.2.2獲取數字證書 121
13.2.3安裝數字證書 123
13.3攻擊HTTP（和HTTPS） 126
13.3.1無線路由器 126
13.3.2Wi-Fi熱點 127
13.3.3互聯網服務提供商 127
13.3.4政府機構 127
13.4小結 128
第14章第三方代碼 129
14.1保護依賴項 129
14.1.1知道你正在運行什麼代碼 130
14.1.2能夠快速部署新版本 132
14.1.3對安全問題保持警惕

前言

互聯網是一個“瘋狂”的地方。人們很容易有這樣的印像—互聯網是由網絡專家精心設計的，並且一切都做得很好。實際上，互聯網的發展是迅速而隨意的，我們今天在互聯網上所做的事情遠遠超出了互聯網發明者的想像。
正因如此，保護互聯網安全是一項艱巨的任務。網站是一種獨特的軟件形式，它發布後立即為數百萬用戶所使用，其中包括活躍而積極的黑客社區。大公司通常會遇到安全問題，幾乎每周都會公布新的數據洩露事件。面對這種情況，無助的Web開發人員應該如何保護自己呢？
關於本書
Web安全的一個大秘密是—Web漏洞的數量實際上很少（巧合的是，它們可以容納在一本書中），並且這些漏洞每年變化不大。本書將告訴你需要了解的每一個關鍵威脅，並且分解保護網站所需要采取的實際步驟。
這本書適合誰互聯網是一個“瘋狂”的地方。人們很容易有這樣的印像—互聯網是由網絡專家精心設計的，並且一切都做得很好。實際上，互聯網的發展是迅速而隨意的，我們今天在互聯網上所做的事情遠遠超出了互聯網發明者的想像。
正因如此，保護互聯網安全是一項艱巨的任務。網站是一種獨特的軟件形式，它發布後立即為數百萬用戶所使用，其中包括活躍而積極的黑客社區。大公司通常會遇到安全問題，幾乎每周都會公布新的數據洩露事件。面對這種情況，無助的Web開發人員應該如何保護自己呢？
關於本書
Web安全的一個大秘密是—Web漏洞的數量實際上很少（巧合的是，它們可以容納在一本書中），並且這些漏洞每年變化不大。本書將告訴你需要了解的每一個關鍵威脅，並且分解保護網站所需要采取的實際步驟。
這本書適合誰
如果你是剛開始進行Web開發，那麼這本書將是你的理想指南。無論你是剛剛從計算機科學專業畢業，還是自學成纔的新手，我都建議你仔細閱讀本書。本書中的所有內容都是必不可少的，並且通過清晰的示例以直接的方式進行了解釋。現在就為即將面臨的威脅做好充分的準備，這將會為你省去很多麻煩。
如果你是一位有經驗的程序員，本書對你來說也是有用的。通過學習安全知識，你始終可以從中受益，因此，嘗試使用本書來填補你可能遇到的空白。把它當作一本參考書，並深入閱讀你感興趣的章節。沒有人能掌握所有的知識，經驗豐富的程序員更有責任以身作則，領導好團隊，對於Web開發人員來講，這意味著需要遵循安全實踐。
你會注意到，本書並沒有特定於某一種編程語言（盡管我會根據需要為主流語言提供各種安全建議）。無論你選擇哪種編程語言，對Web安全的良好理解都將使你受益。許多程序員在他們的職業生涯中會使用多種語言，因此學習Web安全的原理比過於關注單個語言類庫要更好。
互聯網簡史
在開始介紹本書的內容之前，回顧一下互聯網如何發展到當前狀態將非常有用。許多聰明的工程師為互聯網的爆炸式增長做出了貢獻，但是和大多數軟件項目一樣，在添加功能時，在安全方面的考慮往往不夠。了解安全漏洞是如何產生的將為你提供修復它們所需的相關知識。
萬維網（World Wide Web）是蒂姆·伯納斯-李（Tim Berners-Lee）在歐洲核子研究中心（CERN）工作時發明的。在歐洲核子研究中心進行的研究包括將亞原子顆粒粉碎在一起，希望它們會分裂成更小的亞原子顆粒，從而揭示宇宙的基本結構，但這種研究可能會在地球上造成黑洞。
蒂姆·伯納斯-李顯然對實現宇宙終結不感興趣，他在歐洲核子研究中心工作期間發明了我們今天所知的互聯網—作為大學間共享研究結果的一種手段。他發明了個Web瀏覽器和個Web服務器，並發明了超文本標記語言（HTML）和超文本傳輸協議（HTTP）。世界上個網站於1993年上線。
早期的網頁隻支持文本格式。款能夠顯示嵌入圖像的瀏覽器是美國國家超級計算應用中心（National Center for Supercomputing Applications）開發的Mosaic。Mosaic的開發者終加入了Netscape Communications公司，幫助開發了Netscape Navigator，這是款廣泛使用的Web瀏覽器。在早期的Web中，大多數頁面都是靜態的，傳輸流量沒有加密。那是一個簡樸的時代！
瀏覽器中的腳本
快進到1995年，Netscape Communications公司的Brendan Eich花10天時間發明了JavaScript，這是種能夠嵌入網頁的語言。在開發過程中，該語言被稱為Mocha，然後重命名為LiveScript，然後再次重命名為JavaScript，終被正式命名為ECMAScript。沒有人喜歡ECMAScript這個名字，尤其是Eich，他聲稱這聽起來像是一種皮膚病。因此，除了正式的設置外，程序員都繼續將其稱為JavaScript。
JavaScript的原始版本結合了Java編程語言（因此名字中有Java）的笨拙命名約定、C語言的結構化編程語法、晦澀的基於原型的Self繼承以及Eich自己設計的噩夢般的類型轉換邏輯。不管是好是壞，JavaScript成了事實上的Web瀏覽器語言。突然間，網頁實現了可交互，並且出現了一繫列安全漏洞。黑客通過跨站點腳本（XSS）攻擊找到了將JavaScript代碼注入頁面的方法，互聯網變得更加危險。
新的挑戰者入場
Netscape Navigator的個真正競爭對手是微軟的Internet Explorer。Internet Explorer具有兩個競爭優勢—它是免費的，並且預先安裝在微軟的Windows繫統上。Internet Explorer迅速成為世界上受歡迎的瀏覽器，它的圖標成為人們學習瀏覽網頁的“互聯網按鈕”。
微軟試圖“擁有”網絡，導致它向瀏覽器引入了ActiveX等專有技術。不幸的是，這導致感染用戶計算機的病毒（惡意程序）激增。Windows是計算機病毒的主要攻擊目標（現在仍然是），而互聯網被證明是一種有效的傳播途徑。
Internet Explorer的主導地位在很多年內都沒有受到挑戰，直到Mozilla的Firefox發布，然後是Chrome，這是一款由新興的搜索初創公司Google開發的瀏覽器。這些新的瀏覽器加速了互聯網標準的發展和創新。然而到目前為止，黑客攻擊已經成為一項有利可圖的業務，安全漏洞一旦被發現就會迅速被利用

商品搜索

商品分类

【醫學】

【各大出版社】